Vrijstelling voor lage bedragen
De PSD2-regel waarmee kleine online aankopen sterke klantauthenticatie mogen overslaan, tot de kleine bedragen samen een groot bedrag vormen.
De vrijstelling staat in artikel 16 van de Europese technische norm voor sterke klantauthenticatie. Een betaling op afstand tot 30 euro mag zonder tweede factor door, maar alleen zolang de vrijgestelde betalingen sinds de laatste authenticatie samen onder de 100 euro blijven of niet vaker dan vijf keer achter elkaar voorkomen. Daarna moet de klant zich opnieuw authenticeren. De uitgever kiest welke teller hij bijhoudt. Contactloos betalen in de winkel heeft een eigen, hogere grens van 50 euro.
De vrijstelling is een recht, geen plicht. De winkelier kan haar aanvragen via 3-D Secure, maar de uitgever kan altijd alsnog authenticatie eisen, en alleen de uitgever weet hoe de teller ervoor staat. Daardoor is het lastig om erop te bouwen: een koffie van 4 euro kan opeens de bankapp vereisen, omdat de klant sinds de vorige keer al vier andere dingen online kocht. Grotere winkeliers leunen daarom liever op transactierisicoanalyse, die hogere drempels kent.